HeuJung
d970117149
확장이 훅으로 등록한 카탈로그에서 고른 값은 그 확장이 사라져도 저장값으로 남는다. 그 상태에서 값만 보고 판정하면 이미 제공 불가한 항목이 사용자 화면에 그대로 노출된다. 예외도 경고도 로그도 남지 않아 관리자 화면과 나란히 보지 않으면 드러나지 않는다. - 결제수단에 지정한 PG, 현금영수증 발급사, 검색엔진 드라이버 세 축에 같은 판정을 적용. 공개 응답에서는 제거하고 관리자 응답에는 표시를 남긴다 — 운영자가 고쳐야 할 대상이라 감추면 복구 경로가 사라진다. 서버 검증도 같은 판정을 공유해 화면 우회 제출을 막는다. - 설정 단건 저장이 벌크 저장과 다른 경로를 타던 문제를 코어·이커머스·게시판에서 정리. 저장은 성공하고 파생 값만 갱신되지 않아 어느 화면에서 저장했느냐로 결과가 갈렸다. - 단건 저장의 값 형태 계약 신설. 빈 값으로 되돌릴 수 있게 하고, 타입은 defaults.json 의 기본값을 SSoT 로 삼는다. 해석 불가한 입력은 조용히 캐스팅하지 않고 거절한다. - 드라이버 셀렉트를 서버 카탈로그에 바인딩하고, 저장값이 카탈로그에 없으면 그 값을 드러내는 안내를 8곳 전수에 붙인다. 종전에는 빈 칸으로만 보여 무엇이 저장됐는지 알 수 없었다. 시나리오 매니페스트 8종을 면제 없이 신설했다. `audit:allow` 는 cross product 와 effects 검사를 함께 끄므로, 면제가 걸린 매니페스트에 선언을 추가하면 검증이 회복되지 않는다. 그 아래에서 대응 테스트가 없는 effect 이름 2건이 살아남아 있었고, 함께 정리했다.
43 lines
1.5 KiB
PHP
43 lines
1.5 KiB
PHP
<?php
|
|
|
|
namespace Tests\Feature\Settings;
|
|
|
|
use App\Services\SettingsService;
|
|
use Tests\TestCase;
|
|
|
|
/**
|
|
* 본인인증 provider 저장값의 공개 SSR 노출 정리 (A6b)
|
|
*
|
|
* `identity` 카테고리는 `expose: true` 이고 `default_provider` 에 필드 단위 차단이 없어,
|
|
* 저장값이 전 공개 페이지의 SSR 부트스트랩과 봇 SSR 에 그대로 실렸다. 소비처가 없는데도
|
|
* 제거된 플러그인의 provider ID 가 계속 노출되는 상태다.
|
|
*/
|
|
class IdentityFrontendExposureTest extends TestCase
|
|
{
|
|
/**
|
|
* default_provider 는 프론트엔드 설정에 노출되지 않는다. (실패-먼저)
|
|
*/
|
|
public function test_default_provider_is_not_exposed_to_frontend(): void
|
|
{
|
|
$frontend = app(SettingsService::class)->getFrontendSettings();
|
|
|
|
$this->assertArrayNotHasKey(
|
|
'default_provider',
|
|
$frontend['identity'] ?? [],
|
|
'본인인증 provider 저장값이 공개 프론트엔드 설정에 노출되었습니다.'
|
|
);
|
|
}
|
|
|
|
/**
|
|
* identity 카테고리의 나머지 필드도 그대로 미노출을 유지한다. (비회귀 pin)
|
|
*/
|
|
public function test_other_identity_fields_stay_hidden(): void
|
|
{
|
|
$identity = app(SettingsService::class)->getFrontendSettings()['identity'] ?? [];
|
|
|
|
foreach (['purpose_providers', 'challenge_ttl_minutes', 'max_attempts'] as $field) {
|
|
$this->assertArrayNotHasKey($field, $identity);
|
|
}
|
|
}
|
|
}
|